@kinkai.cloud/vibecheck 0.2.0 → 0.3.0

package/README.md

@@ -0,0 +1,40 @@
+# VibeCheck CLI
+
+## Português
+
+O comando `analyze` (a partir de 0.3.0) analisa código, segredos e dependências, importa cobertura/testes/SARIF e avalia o quality gate. O modo anterior `--gate` continua compatível. Node.js 22+ e Git são necessários.
+
+1. Crie um projeto em https://vibecheck.kinkai.cloud/projects. Em Configurações, copie `vibecheck.config.json` e gere um token de projeto.
+2. Instale o CLI e os motores. Os comandos abaixo são para Linux x64 ou WSL; exigem Python 3 com venv. As versões são fixadas e os binários OSV/Gitleaks têm checksum verificado. A instalação é explícita, sem scripts de instalação de motores executados pelo npm.
+
+```sh
+npm install --save-dev @kinkai.cloud/vibecheck@0.3.0
+python3 -m venv .tools/vibecheck
+.tools/vibecheck/bin/pip install -r node_modules/@kinkai.cloud/vibecheck/engines/requirements.txt
+python3 node_modules/@kinkai.cloud/vibecheck/engines/install.py .tools/vibecheck/bin
+export PATH="$PWD/.tools/vibecheck/bin:$PATH"
+```
+
+3. Gere seus relatórios com o runner de testes habitual. Configure os caminhos existentes em `coverage`, `junit` e `sarif` no JSON. Não adicione um relatório que seu projeto não gera. Formatos de cobertura: `lcov`, `cobertura`, `jacoco`.
+4. Analise localmente: `npx vibecheck analyze`. Para publicar, configure `VIBECHECK_PROJECT_TOKEN` como variável de ambiente ou segredo do CI e execute `npx vibecheck analyze --publish`.
+
+O CLI não roda testes arbitrários. Código-fonte completo e valores de segredos permanecem locais. Relatórios sanitizados ficam em `.vibecheck/analysis.json` e `.vibecheck/analysis.sarif`. Adicione `.tools/` e `.vibecheck/` ao `.gitignore`.
+
+**Primeira execução:** publique a branch de referência antes de analisar sua branch de trabalho. Sem análise comparável do ancestral comum, o gate é inconclusivo e os problemas encontrados continuam visíveis.
+
+**Decisão no CI:** 0 aprovado; 1 reprovado; 2 inconclusivo; 3 erro operacional. Por padrão, novos riscos altos/críticos e segredos bloqueiam; a cobertura de linhas executáveis novas deve ser pelo menos 80%. Motores indisponíveis e relatórios necessários ausentes não são aprovação. O servidor recalcula a decisão recebida pelo CLI.
+
+No painel: **Achados** para correções, **Mapa** para arquivos, **Dependências** para pacotes afetados e correções disponíveis, **Testes** para cobertura/falhas e **Quality gates** para condições e motivos. Para HTTP use o scan web; para verificações pontuais, https://vibecheck.kinkai.cloud/tools.
+
+## English
+
+`analyze` (0.3.0+) combines code, secrets and dependency checks, imports coverage/tests/SARIF, and evaluates a quality gate. Legacy `--gate` remains supported. Requires Node.js 22+ and Git.
+
+1. Create a project at https://vibecheck.kinkai.cloud/projects. Copy its configuration and generate a project token in Settings.
+2. Install the CLI and engines using the commands above on Linux x64 or WSL, with Python 3 and venv. Versions are pinned; OSV/Gitleaks binaries are checksum verified. npm does not install engines automatically.
+3. Generate reports using your usual test runner. Configure existing coverage (`lcov`, `cobertura`, `jacoco`), JUnit and SARIF paths. The CLI does not run arbitrary tests.
+4. Run `npx vibecheck analyze`. To upload sanitized results, set `VIBECHECK_PROJECT_TOKEN` in your environment or CI secret store, then run `npx vibecheck analyze --publish`.
+
+Publish the reference branch first. Without a comparable merge-base analysis, the gate is inconclusive. Exit codes: 0 pass, 1 fail, 2 inconclusive, 3 operational error. Default policy blocks new high/critical risks and secrets, and requires 80% coverage of new executable lines. Missing required evidence never means pass.
+
+Full source and secret values stay local. JSON/SARIF reports are written to `.vibecheck/`; ignore that directory and `.tools/` in Git. Use Findings, Map, Dependencies, Tests and Quality gates in the dashboard to investigate results. Web scans and focused utilities are available separately on the website.